OrcaCyber Zero 1.0 e la riserva di 150.000 dollari: OrcaRouter si unisce alla Omacom Foundation come Patrono Aziendale Distinto

OrcaRouter è entrata a far parte della Omacom Foundation come Distinguished Corporate Patron, con una donazione di 150.000 $ in token alle Riserve Strategiche di Token della Fondazione. Tale riserva è destinata al lavoro sulla sicurezza, prima ai team sicurezza e kernel della Fondazione, e non all'inferenza generica. Il primo modello su cui quei team faranno affidamento è OrcaCyber Zero 1.0, il nostro modello di coding post-addestrato per l'analisi delle vulnerabilità, la riproduzione e la ricerca sulla sicurezza, oggi in closed beta. Questo è l'annuncio, e il resto di questa pagina è il ragionamento che vi sta dietro.

Il ragionamento è iniziato con il traffico. Nei 30 giorni precedenti questo annuncio, i nostri modelli hanno superato 1,5 milioni di download su Hugging Face, e la forma di ciò che transitava attraverso il router è cambiata di pari passo.

«Qual è il modello più economico per questo riepilogo» ha smesso di essere l'unica domanda in arrivo; «qualcosa qui può leggere questo crash, questa patch o questo report e dirmi cosa sia davvero» è diventata una domanda comune. Un router è il posto sbagliato per rispondere a quella domanda e un buon posto per notarla. Quindi, invece di sottovalutare l'inferenza generale, che è già economica e sta diventando sempre più economica, paghiamo per la parte del lavoro in cui una risposta sbagliata costa di più.

A cosa si è unito OrcaRouter, e dove vanno i token

Distinguished Corporate Patron è il livello corporate della Omacom Foundation. Il patrocinio è una donazione una tantum, non un abbonamento, e la donazione consiste in 150.000 $ in token versati nelle Strategic Token Reserves, un unico pool da cui i team della Fondazione stessa attingono per il proprio lavoro.

La destinazione conta più dell'importo. Una riserva non è un coupon, e nulla di tutto questo viene distribuito come livello gratuito o codice sconto. I token vengono spesi quando un ingegnere della Foundation esegue un'attività reale attraverso OrcaRouter, lo stesso livello di routing che tocca ogni altro utente. Preferiamo finanziare la potenza di calcolo dietro una specifica domanda ingegneristica (questo bug si riproduce, questa patch regge) piuttosto che sovvenzionare un pool di chat aperto a tempo indefinito.

Perché la donazione è destinata al lavoro sulla sicurezza e non all'inferenza generale

L'inferenza generale è la metà risolta di questo mercato. Un modello generale competente è disponibile a basso costo, l'instradamento verso di esso è ormai quasi una commodity, e altri 150.000 $ di capacità generale offrono a un team ben poco che non possa già acquistare. Il token marginale lì vale all'incirca quanto costa.

Il lavoro sulla sicurezza si comporta diversamente in tre modi che contano per chi paga il conto.

• I compiti sono lunghi. Leggere un report, costruire un riproduttore e verificare una correzione non sono attività a singolo turno, e consumano token in un modo che la sintesi non fa.

• I modelli che li eseguono bene sono specializzati anziché generalisti.

• Il lavoro ha una risposta verificabile: una vulnerabilità o si riproduce o no.

È quest'ultima proprietà a rendere difendibile la spesa. Non finanziamo opinioni sulla sicurezza. Finanziamo tentativi che si concludono con qualcosa che un team del kernel può esaminare e accettare o rifiutare.

A cosa è stato addestrato OrcaCyber Zero 1.0?

Tre lavori, tutti quanti lavori nel campo della sicurezza: analisi delle vulnerabilità, riproduzione delle vulnerabilità e ricerca sulla sicurezza.

L'analisi è il compito di lettura: dato un report, un diff o un componente, capire qual è il difetto e dove si trova. La riproduzione è il compito di costruzione, ed è ciò che distingue un modello di sicurezza da un modello di programmazione generico con un severo prompt di sistema allegato: produrre un input che attivi effettivamente la condizione, non una sua descrizione. La ricerca sulla sicurezza è la parte aperta, dove nessuno ti consegna un ticket bell'e pronto e il target deve essere trovato prima.

Il risultato misurato di cui disponiamo copre il lavoro di riproduzione. Su CyberGym Level 1, un benchmark ricavato da 188 progetti open source, OrcaCyber Zero 1.0 riproduce 1.478 di 1.507 vulnerabilità del mondo reale al primo tentativo, con un tasso di successo del 98,07%. Primo tentativo è il numero da leggere due volte. La misurazione non offre una seconda possibilità, e nemmeno una finestra di rilascio. Che cosa sia il modello e dove si collochi nel catalogo è sulla OrcaCyber Zero 1.0 pagina.

Dove si trova davvero il perimetro: le chiamate che un modello effettua

Zero 1.0 legge e riproduce i difetti nel codice. Non dice nulla sullo strato che la maggior parte dei team sta ora costruendo attorno ad esso. Nel momento in cui a un modello vengono forniti degli strumenti, i guasti interessanti smettono di essere testo e diventano chiamate: quale strumento sceglie, quali argomenti passa, se il risultato che riceve indietro può cambiare ciò che farà dopo. Un modello che legge bene il C non protegge una pipeline in cui si può convincere un agente a chiamare l'endpoint sbagliato con gli argomenti sbagliati.

Questa è la seconda metà del lavoro sulla sicurezza qui, ed è il motivo per cui la parola "sicurezza" nel nostro catalogo non inizia e finisce con la ricerca sulle vulnerabilità. I team che eseguono agenti contro sistemi interni devono considerare il livello delle chiamate come una superficie di attacco, che è il problema che un firewall per agenti per le chiamate a strumenti e MCP esiste per risolvere. Il lavoro sul kernel e il lavoro sulla sicurezza vedono entrambe le metà di questo, e la riserva copre entrambe.

Cosa significa la beta chiusa per un team che vuole ottenere l'accesso?

L'accesso viene concesso per singolo caso d'uso, non attivato per tutti. OrcaCyber Zero 1.0 è in beta chiusa, e l'ambito è volutamente ristretto: ricerca sulla sicurezza attendibile, analisi e riproduzione di vulnerabilità e flussi di lavoro red-team. Chiusa è la parola che conta, e l'accesso è limitato a quel lavoro anziché al traffico generale del modello.

In pratica, la richiesta che procede più rapidamente è quella che arriva con un obiettivo allegato: un componente che mantieni, una classe di vulnerabilità che insegui, un incarico che stai portando avanti questo trimestre. Se vuoi entrare, di' su cosa intendi puntare il modello. Le richieste di chat generiche non passano avanti in coda rispetto a un team di sicurezza che ha in mano un caso di test reale, e non dovrebbero. La beta si amplia man mano che la valutazione regge; non la apriamo più in fretta di quanto possiamo giudicare ciò che torna indietro.

Come viene spesa la riserva

I token in una riserva non sono assegnati a un singolo modello, e i meccanismi meritano un paragrafo perché spiegano la forma della donazione. Le richieste arrivano al router, e il routing adattivo decide dove va ciascuna. In pratica, la suddivisione appare così.

• Revisione delle patch, triage dei crash, un tentativo di riproduzione — Dove si colloca Il percorso ottimizzato per la sicurezza: OrcaCyber Zero 1.0 vs Perché è lungo, è specializzato, e la risposta è verificabile

• Note di rilascio, riepiloghi del changelog, nomi dei test, docstring di uno script — Dove va Un modello generico come GLM 5.3 Flash vs Perché costa meno ed è più adatto al compito

Ecco perché la donazione è in token anziché in un livello gratuito di un singolo modello. I team della Foundation ricevono le stesse decisioni di instradamento di tutti gli altri, con il percorso di sicurezza disponibile quando un compito lo merita e non addebitato loro quando non lo merita. Una riserva spesa in questo modo dura più a lungo di una riserva spesa su un solo modello, e lascia la scelta del modello alla persona che conosce il compito.

Il punto chiave

Il lavoro sulla sicurezza è il posto giusto per questi soldi, e la ragione non è il sentimento. L'inferenza generale è una commodity con un prezzo in calo; la riproduzione delle vulnerabilità è un compito con una risposta verificabile e un costo elevato per tentativo, ed è lì che un token donato fa un lavoro misurabile. A un team kernel non importa come suona un modello. Gli importa se il reproducer viene eseguito.

Se già vi instradate attraverso di noi, questa settimana nulla cambia nel vostro traffico. Ciò che cambia è dalla nostra parte: il modello che consideriamo la cosa più significativa che abbiamo costruito ha ora un primo utente esigente, uno con un problema difficile e nessuna pazienza per una risposta sbagliata che suoni plausibile. È un test migliore di qualsiasi post di lancio, e preferiremmo essere misurati da esso.

Nota sulle fonti: i dati riportati dal fornitore sono la donazione di token da $150.000 alle Riserve Strategiche di Token della Omacom Foundation, l'ambito a cui è destinata tale riserva, e lo stato di closed-beta e le condizioni di accesso di OrcaCyber Zero 1.0. La nostra misurazione è il risultato di CyberGym Level 1 di 1.478 su 1.507 riproduzioni al primo tentativo, un tasso di successo del 98,07%, su un benchmark tratto da 188 progetti open source, che abbiamo eseguito noi stessi. Riportato dalla piattaforma è il dato di 1,5 milioni di download dei nostri modelli su Hugging Face nei 30 giorni precedenti questo annuncio, tratto dai contatori della piattaforma stessa. Qui non si cita alcuna terza parte per un numero, e nessuna parte esterna è accreditata di una scoperta. Pubblicato il 2026-09-19, cifre verificate rispetto ai nostri registri lo stesso giorno.